OTLPE

Résolu
krapulll -  
Bonjour, je viens de realiser un scan avec ODLPE, sur mon toshiba NB100, apres envoi de resultat, me voila avec ce lien, je ne sais pas quoi en faire, pouvez vous m'aider svp

https://pjjoint.malekal.com/files.php?id=20120804_l12p12h10s5f7

29 réponses

Résumé de la discussion

Un utilisateur a réalisé un scan avec ODLPE sur un Toshiba NB100 et partage un lien vers le rapport, cherchant une aide pour interpréter les résultats et poursuivre l’intervention. Les réponses évoquent des outils et démarches comme Pre_Scan et DelFix, des explications sur l’interprétation des rapports et des résultats de Malwarebytes montrant des éléments à examiner ou à mettre en quarantaine. D'autres messages signalent risques, notamment le fait que certains outils puissent être détectés comme virus ou provoquer des redémarrages, et précisent que les rapports détailleront fichiers et entrées de registre sans livrer une solution unique.

Bobot (l’IA à votre service)
  1. g3n-h@ckm@n
    ^^ faut que tu cliques sur marquer comme résolu dans le premier message que tu as posté
    1. krapulll Auteur
      voila ;)
      merci a toi et bonne continuation..
  2. krapulll Auteur
    tout simplement super.. il me reste a creer un point de restauration sain et ce sera fini !! enfin j'espere ;)
    si cela est bel et bien fini, je te remercie beaucoup et de ce fait le sujet est resolu.
    1. krapulll Auteur
      # DelFix v8.9 - Rapport créé le 05/08/2012 à 16:35:15
      # Mis à jour le 27/07/12 par Xplode
      # Système d'exploitation : Microsoft Windows XP Service Pack 3 (32 bits)
      # Nom d'utilisateur : toshiba - ORDINATEUR (Administrateur)
      # Exécuté depuis : C:\Documents and Settings\toshiba\Bureau\delfix.exe
      # Option [Suppression]

      ~~~~~~ Dossiers(s) ~~~~~~

      Supprimé : C:\_OTL
      Supprimé : C:\pre_scan

      ~~~~~~ Fichier(s) ~~~~~~

      Supprimé : C:\Extras.Txt
      Supprimé : C:\OTL.Txt
      Supprimé : C:\Documents and Settings\toshiba\Bureau\Pre_Scan_05_08_2012_08_32_24.txt
      Supprimé : C:\Documents and Settings\toshiba\Bureau\Pre_Scan_05_08_2012_09_05_04.txt
      Supprimé : C:\Documents and Settings\toshiba\Bureau\Pre_Scan_05_08_2012_09_23_56.txt
      Supprimé : C:\Documents and Settings\toshiba\Bureau\Pre_script.txt

      ~~~~~~ Registre ~~~~~~

      Clé Supprimée : HKCU\Software\g3n-h@ckm@n
      Clé Supprimée : HKLM\SOFTWARE\OldTimer Tools

      ~~~~~~ Autres ~~~~~~

      -> Prefetch Vidé

      *************************

      DelFix[S1].txt - [997 octets] - [05/08/2012 16:35:15]

      ########## EOF - C:\DelFix[S1].txt - [1120 octets] ##########
    4. g3n-h@ckm@n
      ok encore des soucis ?
      1. krapulll Auteur
        et bien a premiere vue, plus aucun :)

        je te remercie beaucoup de ton aide et de ta patience..
        derniere question, je dois garder tout les fichiers textes de scan?
    5. g3n-h@ckm@n
      c'est pas le bon :)
      1. krapulll Auteur
        Malwarebytes Anti-Malware (Essai) 1.62.0.1300
        www.malwarebytes.org

        Version de la base de données: v2012.08.05.06

        Windows XP Service Pack 3 x86 NTFS
        Internet Explorer 8.0.6001.18702
        toshiba :: ORDINATEUR [administrateur]

        Protection: Activé

        05/08/2012 15:00:55
        mbam-log-2012-08-05 (15-00-55).txt

        Type d'examen: Examen complet (C:\|D:\|)
        Options d'examen activées: Mémoire | Démarrage | Registre | Système de fichiers | Heuristique/Extra | Heuristique/Shuriken | PUP | PUM
        Options d'examen désactivées: P2P
        Elément(s) analysé(s): 358822
        Temps écoulé: 26 minute(s), 8 seconde(s)

        Processus mémoire détecté(s): 0
        (Aucun élément nuisible détecté)

        Module(s) mémoire détecté(s): 1
        C:\WINDOWS\system32\wlmel51b.dll (RootKit.0Access.H) -> Suppression au redémarrage.

        Clé(s) du Registre détectée(s): 0
        (Aucun élément nuisible détecté)

        Valeur(s) du Registre détectée(s): 0
        (Aucun élément nuisible détecté)

        Elément(s) de données du Registre détecté(s): 0
        (Aucun élément nuisible détecté)

        Dossier(s) détecté(s): 0
        (Aucun élément nuisible détecté)

        Fichier(s) détecté(s): 12
        C:\WINDOWS\system32\wlmel51b.dll (RootKit.0Access.H) -> Suppression au redémarrage.
        C:\Documents and Settings\Administrateur\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\Administrateur.YOUR-80BB1E2B49\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\Administrateur.YOUR-80BB1E2B49.000\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\Administrateur.YOUR-80BB1E2B49.001\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\Administrateur.YOUR-80BB1E2B49.002\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\Administrateur.YOUR-80BB1E2B49.003\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\Documents and Settings\Administrateur.YOUR-80BB1E2B49.004\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\Pre_Scan\Quarantine\ram_reserver64.exe.P_S (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.
        C:\WINDOWS\system32\adobeactivefilemonitor5.0.dll (RootKit.0Access.H) -> Mis en quarantaine et supprimé avec succès.
        C:\WINDOWS\system32\KR10N.dll (RootKit.0Access.H) -> Mis en quarantaine et supprimé avec succès.
        C:\_OTL\MovedFiles\08052012_065639\C_Documents and Settings\toshiba\Application Data\ram_reserver64.exe (Malware.Gen) -> Mis en quarantaine et supprimé avec succès.

        (fin)
    6. g3n-h@ckm@n
      fermer toutes les fenêtres et applications lors de l'installation et de l'analyse.

      ▶ Télécharge ici :

      Malwarebytes

      ▶ Installe le ( choisis bien "francais" ; ne modifie pas les paramètres d'installe ) et mets le à jour .

      relance malwarebytes en suivant scrupuleusement ces consignes :

      ! Déconnecte toi et ferme toutes applications en cours !

      ▶ Lance Malwarebyte's .

      Fais un examen dit "Complet" .

      ▶ Laisse le programme travailler ( et ne rien faire d'autre avec le PC durant le scan ).
      ▶ à la fin tu cliques sur "résultat" .
      ▶ Vérifie que tous les objets infectés soient validés, puis clique sur " suppression " .

      ▶ Note : si il faut redémarrer ton PC pour finir le nettoyage, fais le !

      ▶ Poste le rapport sauvegardé après la suppression des objets infectés (dans l'onglet "rapport/log"de Malwarebytes, le dernier en date)

      1. krapulll Auteur
        2012/08/05 14:57:24 +0200 ORDINATEUR toshiba MESSAGE Starting protection
        2012/08/05 14:57:43 +0200 ORDINATEUR toshiba MESSAGE Protection started successfully
        2012/08/05 14:57:46 +0200 ORDINATEUR toshiba MESSAGE Starting IP protection
        2012/08/05 14:58:19 +0200 ORDINATEUR toshiba MESSAGE IP Protection started successfully
        2012/08/05 14:58:23 +0200 ORDINATEUR toshiba MESSAGE Starting database refresh
        2012/08/05 14:58:23 +0200 ORDINATEUR toshiba MESSAGE Stopping IP protection
        2012/08/05 14:58:24 +0200 ORDINATEUR toshiba MESSAGE IP Protection stopped
        2012/08/05 14:58:46 +0200 ORDINATEUR toshiba MESSAGE Database refreshed successfully
        2012/08/05 14:58:46 +0200 ORDINATEUR toshiba MESSAGE Starting IP protection
        2012/08/05 14:59:22 +0200 ORDINATEUR toshiba MESSAGE IP Protection started successfully
        2012/08/05 15:03:29 +0200 ORDINATEUR toshiba MESSAGE Executing scheduled update: Daily
        2012/08/05 15:03:41 +0200 ORDINATEUR toshiba MESSAGE Database already up-to-date
        2012/08/05 15:29:53 +0200 ORDINATEUR toshiba IP-BLOCK 94.102.52.238 (Type: incoming)
        2012/08/05 15:33:39 +0200 ORDINATEUR toshiba MESSAGE Starting protection
        2012/08/05 15:34:10 +0200 ORDINATEUR toshiba MESSAGE Protection started successfully
        2012/08/05 15:34:13 +0200 ORDINATEUR toshiba MESSAGE Starting IP protection
        2012/08/05 15:34:32 +0200 ORDINATEUR toshiba MESSAGE IP Protection started successfully
    7. krapulll Auteur
      ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤ Pre_Script | 2.804 ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

      toshiba : Microsoft Windows XP (32 bits)

      Switchs : https://gen-hackman.kanak.fr/

      Script : 14:20:13

      ¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤¤

      ¤¤¤¤¤¤¤¤¤¤ | Registry Deletions

      Value Deleted : [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:Alcmtr
      Value Deleted : [HKU\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]:QJa8hs7QNbxt4uL
      Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{358E6F10-DE8A-4602-8424-179CA217F8EE}
      Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9C6A861C-B233-4994-AFB1-C158EE4FC578}
      Key Deleted : HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\{tlMe4VA9-8LXI-r4nq-LmM7-2PRL0gJFErMy}
      Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}
      Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0006-ABCDEFFEDCBA}
      Key Deleted : HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
      Key Deleted : HKLM\Software\BrowserChoice

      ¤

      Folder Deleted : |D| - C:\a773f12291d2261ef06ffb36ed271c48
      C:\WINDOWS\Installer\{AC76BA86-7AD7-1036-7B44-A81200000003} : Not Found !
      C:\Documents and Settings\All Users\Bureau\Choix de navigateur .lnk : Not Found !

      ¤¤¤¤¤¤¤¤¤¤ | MBR

      Windows Version: Windows XP Home Edition
      Windows Information: Service Pack 3 (build 2600)
      Logical Drives Mask: 0x0000000c

      Analysis of file "C:\Pre_Scan\MBR.bin":
      Windows XP MBR code detected

      ¤

      ¤¤¤¤¤¤¤¤¤¤ | Nettoyage disque

      Nettoyage du disque effectué

      ¤

      Fin : 14:21:37

      ¤¤¤¤¤¤¤¤¤¤ ( EOF ) ¤¤¤¤¤¤¤¤¤¤
      1. g3n-h@ckm@n
        non je me suis gourré

        C:\Windows\System32\drivers\tos_sps32.sys
        1. g3n-h@ckm@n
          re

          desinstalle adobe reader 8
          desinstalle tout Java

          ============

          Fais analyser le(s) fichier(s) suivants sur Virustotal :

          Virus Total

          clique sur "Parcourir" et trouve puis selectionne ce(s) fichier(s) :

          C:\Windows\SysNative\drivers\tos_sps32.sys

          * Clique maintenant sur Envoyer le fichier. et laisse travailler tant que "Situation actuelle : en cours d'analyse" est affiché.
          * Il est possible que le fichier soit mis en file d'attente en raison d'un grand nombre de demandes d'analyses. En ce cas, il te faudra patienter sans actualiser la page.
          * Lorsque l'analyse est terminée colle le lien de(s)( la) page(s) dans ta prochaine réponse.

          =============

          Attention !!! pense à re-désactiver tes protections

          Clique sur ce lien : http://cjoint.com/12au/BHflPdjIEOS.htm

          Selectionne tout le texte qui s'y trouve CTRL+A puis CTRL+C ou clic droit/copier

          Relance Pre_scan puis choisis l'option "Script"

          une page va s'ouvrir

          logiquement le texte que tu as sélectionné s'y trouve déjà , donc tu fermes et le programme va travailler.

          sinon colle-le (clic droit/coller ou ctrl+V) dans la page vierge.

          puis onglet fichier => enregistrer (pas enregistrer sous...) , puis ferme le texte

          des fenetres noires risquent de clignoter , c'est normal , c'est le programme qui travaille

          poste Pre_Script.txt qui apparaitra sur le bureau en fin de travail
          1. krapulll Auteur
            re..
            je n'ai pas trouver le fichier:
            C:\Windows\SysNative\drivers\tos_sps32.sys
        3. krapulll Auteur
          je viens de faire 2 scan, et au fur et a mesure je recupere des donnés ( photos, et la pour le 2eme jai recuperer la barre d'outil.. :)
          1. g3n-h@ckm@n
            Attention : cet outil peut etre détecté à tort comme virus

            tous les processus "non vitaux de windows" vont être coupés , enregistre ton travail.

            Désactive toutes tes protections si possible , antivirus , sandbox , pare-feux , etc....

            telecharge et enregistre Pre_Scan sur ton bureau :

            http://forums-fec.be/gen-hackman/Pre_Scan.exe

            mirroirs :

            http://general-changelog-team.fr/fr/downloads/viewdownload/41-outils-de-gen-hackman/52-pre-scan
            http://www.archive-host.com

            Avertissement :Il y aura une extinction du bureau pendant le scan --> pas de panique.

            une fois telechargé lance-le , laisse faire le scan jusqu'à l'apparition de "Pre_scan_la_date_et_l'heure.txt" sur le bureau.

            si l'outil est relancé plusieurs fois , il te proposera un menu et qu'aucune option n'est demandée, lance l'option "Kill"

            si l'outil est bloqué par l'infection utilise cette version avec extension .pif :

            http://forums-fec.be/gen-hackman/Pre_Scan.pif

            si l'outil detecte un proxy et que tu n'en as pas installé clique sur "supprimer le proxy"

            Il se peut qu'une multitude de fenêtres noires clignotent , laisse-le travailler

            Poste Pre_Scan_la_date_et_l'heure.txt qui apparaitra sur le bureau en fin de scan

            Il est possible que l'outil fasse redemarrer ton pc plusieurs fois , laisse-le faire

            NE LE POSTE PAS SUR LE FORUM !!! (il est trop long)

            Heberge le rapport sur http://pjjoint.malekal.com puis donne le lien obtenu en echange sur le forum où tu te fais aider

            1. g3n-h@ckm@n
              c'est à dire ?
              1. krapulll Auteur
                jai reussi a partir du gestionnaire de tache, taper windows +R.
                et la je peux avoir acces a l'ordi.
                c'est pas fini c'est ca ..? :(
            2. g3n-h@ckm@n
              refais un scan OTL avec reatogo ?
              1. krapulll Auteur
                jai reussi la manip, en mode sans echec, et en faisant ctrl, alt, supp
            3. g3n-h@ckm@n
              essaie de redemarrer le pc en "derniere bonne configuration connnue"
              1. krapulll Auteur
                toujours rien..
            4. krapulll Auteur
              je n'ai plus le message d"'erreur... je n'ai qu'un fond d'ecran et le curseur de la souris
              1. g3n-h@ckm@n
                touche windows + R tape : Explorer.exe
              2. krapulll Auteur
                je n'arrive pas a faire la manip.. rien ne se passe quand je fais touche windows +R
            7. g3n-h@ckm@n
              tu dois pouvoir redemarrer ton pc normalement maintenant ( c'est pas fini)
              • 1
              • 2

              Discussions similaires

              Ordinateur bloqué => Page blanche
              Thiago-11

              2 réponses